10月30日の第一報では「クレジットカード情報は含まれない」とされていました。5日後の第二報で、MUJI Cardのカード番号約109万件が対象に加わります。その番号は、特典のための連携が2021年7月に終わってからも、良品計画のシステムに残っていたものでした。使い終えたデータを、いつ手放すべきだったのでしょうか。
良品計画は2026年11月4日、10月30日に公表したMUJIアプリへの不正アクセスについて第二報を発表した。メールアドレス、生年月日、性別、会員IDが流出した可能性のある最大約2726万件には、無印良品ネットストアの会員も含まれ、うち約52万件は氏名・住所・電話番号も対象だった。また、2021年7月までにクレディセゾン発行の「MUJI Card」に入会した会員の情報約109万件について、カード番号の全桁、MUJI Card ID、生年月日が対象となった。カード名義、有効期限、セキュリティコードは含まれない。
MUJIアプリまたはネットストアでカード情報を登録した約120件は、カード番号の先頭6桁と下2桁、カード名義が対象である。
From: 
無印良品の公式アプリ「MUJIアプリ」におけるお客さま情報流出の可能性について（第二報）
【編集部解説】
10月30日の第一報の時点では、流出の可能性があるのはメールアドレス、生年月日、性別の3項目で、クレジットカード情報や氏名・住所は含まれないと説明されていました。5日後の第二報で、その前提が大きく変わりました。
対象はアプリ利用者だけでなく、アプリを使っていないネットストア会員にも広がりました。約52万件では氏名・住所・電話番号まで含まれていたことがわかり、さらにMUJI Card会員約109万件のカード番号の全桁が加わりました。
なお、約52万件は良品計画自身が「現時点」と添えている数字で、調査の進み方によって動く可能性があります。
今回の第二報でもっとも重いのは、MUJI Cardのカード番号がなぜ良品計画のシステムにあったのかという点です。
良品計画によれば、2021年7月以前は、無印良品独自の特典を付けるために、MUJI Cardに入会した人のカード番号、MUJI Card ID、生年月日を取得していました。クレディセゾンの説明では、この連携はポイント付与のためのもので、現在は止まっています。
クレディセゾンによれば、この連携は2021年7月までです。つまり、連携が終わってから5年以上、全桁のカード番号が良品計画のシステムに残り続けていたことになります。対象の約109万件のうち、約74.5万件はすでに解約や有効期限切れで使えなくなったカードの番号でした。
ここで、アプリやネットストアにカード情報を登録した約120件と見比べると、データの扱いの違いが浮かび上がります。
こちらで対象になったのは、カード番号の先頭6桁と下2桁、カード名義で、全桁は含まれていません。ただし、この約120件も、氏名・住所・電話番号などと社内のシステム上で閲覧が可能な状態だったとされています。
日本では2018年6月施行の改正割賦販売法により、クレジットカードを扱う加盟店にカード番号等の適切な管理が義務付けられました。実務上は、原則としてカード情報を自社で保持しない「非保持化」、保持する場合は国際基準PCI DSSへの準拠が求められます。
一方、MUJI Cardの番号は、決済処理ではなく「特典」という別の目的で受け取ったものでした。カード番号を守る必要性は、受け取った目的が決済か特典かで変わりません。決済以外の業務で受け取った情報も、どこに残り、誰がアクセスできるのかを把握し続ける必要があります。多くの事業者にとって、他人事ではない構図です。
もう1つ、第二報の表には見落とせない注記があります。
有効なMUJI Card約34.5万件のうち約16.8万件はメールアドレスや生年月日などと、さらにそのうち約2.5万件は氏名・住所・電話番号とも、社内のシステム上でそれぞれ閲覧が可能な状態だったとされています。
カード番号は、それだけでも守られるべき情報です。そこに氏名、住所、電話番号、生年月日が組み合わさると、本人になりすますための材料が増え、詐欺に悪用される危険も高まります。
ただし、表の言葉はあくまで「閲覧が可能な状態」です。攻撃者がそれらを結び付けた形で持ち出したことが確認されたわけではありません。侵入の経路や原因も、第二報の時点では公表されていません。
それでも、複数の情報を閲覧できた範囲まで件数で示した開示は、利用者が自分の危険度を見積もるうえで助けになります。どの情報とどの情報が一緒に閲覧できる状態だったのかを示した点は、今回の第二報で評価できる部分です。
個人情報保護法の第22条は、事業者に対し、個人データを利用する必要がなくなったときは遅滞なく消去するよう努めることを定めています。個人情報保護委員会は今年10月7日に出した注意喚起でもこの条文を取り上げ、不要なデータの扱いを見直すよう呼びかけていました。
2026年は、国内で不正アクセスと情報漏えいの公表が相次いでいます。攻撃を完全に防ぐことが難しい以上、「持っていないデータは漏れない」という考え方は、守りの最後の一線として改めて重みを増しています。
利用者の側でできることも、はっきりしています。
MUJI Cardをお持ちの方は、まず利用明細を確認してください。クレディセゾンは利用状況の監視を強めており、現時点で不正利用の増加は確認されていないとしています。不安があれば、Netアンサーなどからカードの再発行を申し込めます。
あわせて注意したいのが、無印良品やクレディセゾンを名乗るメール、SMS、電話です。氏名や生年月日を正しく言い当てられると、人はつい相手を信じてしまいます。良品計画は、メールや電話でカード情報を尋ねることはないと明言しています。
第二報の時点で、不正アクセスは遮断され、MUJIアプリとネットストアは通常どおり使えます。ダークウェブへの流出や、情報を悪用した被害も確認されていません。
今回の件が問いかけているのは、特定の1社だけの問題というより、データを「集める」設計と同じ熱量で「手放す」設計を持てているかという、すべての事業者に共通する宿題です。第二報で示された開示の細かさとあわせて、その宿題への答え方が、これからの業界の標準をつくっていくはずです。
【関連記事】
不正アクセス・情報漏えいの記録｜2026年10月
2026年10月に第1報が公表された国内の不正アクセスと情報漏えいの事案を、各社の続報の履歴とともに日付順に記録している。
【解説】セイコーマートアプリに不正アクセス、約57万アカウントの会員情報に漏えいの可能性
小売の公式アプリが狙われた、同じ構図の事案。約57万アカウントという数字が、漏えいを確認した件数ではない点を読み解いている。
【編集部後記】
クレディセゾンの発表によれば、良品計画へのカード番号の連携が始まったのは2000年10月です。今回の対象には、その年からの入会者が含まれています。
およそ四半世紀前に入会し、とうにカードを解約した人にも、今回の連絡は届くかもしれません。約109万件のうち約74.5万件は、すでに使えなくなったカードの番号でした。
契約が終わっても、データは静かに残り続けます。何年も前に解約したサービスに、いま自分の何が残っているか、すぐに思い出せるでしょうか。
【用語解説】
PCI DSS
国際カードブランド5社が設立したPCI SSCが策定した、カード会員データを扱う事業者向けのセキュリティ基準である。データを保管・処理・伝送する環境全体が対象となる。
改正割賦販売法
2018年6月1日に施行された割賦販売法の改正である。クレジットカードを扱う加盟店に、カード番号等の適切な管理を義務付けた。
非保持化
加盟店が自社のシステムでカード情報を保存・処理・通過させないようにすることである。利用者に決済代行事業者の画面で直接カード情報を入力してもらう方式などで実現する。
個人情報保護法第22条
事業者に対し、個人データを正確かつ最新の内容に保ち、利用する必要がなくなったときは遅滞なく消去するよう努めることを求める規定である。罰則を伴わない努力義務にあたる。
ダークウェブ
通常の検索エンジンでは見つからず、特殊なソフトウェアを使って接続するネットワーク上の領域である。盗まれた個人情報やカード情報が売買される場として知られる。
MUJI Card ID
MUJI Card自体に記載されている無印良品メンバーIDである。
【参考リンク】
株式会社良品計画（外部）
「無印良品」を企画・開発・製造・販売する小売企業の公式サイト。本件の第一報と第二報は、同社のニュースの一覧から確認できる。
MUJI Card | MUJI 無印良品（外部）
クレディセゾンが発行する無印良品の提携クレジットカードについて、カードの特典や申し込みの方法を案内している無印良品の公式ページ。
MUJI Card 会員情報の流出の可能性に関するお知らせとお詫び（外部）
クレディセゾンによる本件の告知ページ。対象となる件数と入会期間、カード再発行の手続き、会員向けの問い合わせ先の電話番号を掲載している。
個人情報保護委員会（外部）
個人情報保護法を所管する国の行政機関。事業者からの漏えい等の報告を受け付けるほか、事業者向けの注意喚起やガイドラインを公表している。
【参考記事】
大規模な漏えい等事案を踏まえた対応について（注意喚起）（外部）
2026年10月7日付の注意喚起。不要となった個人データの消去を独立した節として立て、個人情報保護法第22条を引いて見直しを求めた。
割賦販売法の改正に関するお知らせ｜JCBカード（外部）
2018年6月施行の改正割賦販売法で、加盟店にカード情報の非保持化またはPCI DSSへの準拠が求められた点を、加盟店向けに解説している。
MUJIアプリで最大2,726万件流出か…退会者まで含む無印良品「会員基盤」の死角とは？（外部）
10月30日の第一報の内容を整理した記事。対象はメールアドレス、生年月日、性別の3項目で、退会者を含め最大約2726万件と報じた。
